TROJAN VUNDO e portatile lento

[Griffon1]

Sono stato infettato almeno dal Trojan.Win32.Vundo.DV.
Questo è ciò che mi ha rivelato la scansione on-line di Kaspersky.

Dopo aver dovuto riavviare il portatile, da quel momento in poi impiega due ore per inizializzare il computer.
Il caricamento di Windows XP SP2 è lentissimo. La CPU va al 100% senza motivo.
Ho 2Gb di RAM.

Qualcuno sa come risolvere la situazione?:mc:

[wjmat]

Ciao benvenuto nel pronto soccorso di HU.
Comincia a guardare qui (http://www.hwupgrade.it/forum/showthread.php?t=1603273) la guida per la rimozione di Vundo e posta in quella discussione tutti i log richiesti secondo le modalità.

[Griffon1]

Ho già letto il link da te indicato, però il mio problema è operativo, la CPU è sempre al 100% di risorse è quindi l'operazione più semplice diventa lunghissima.
Sapessi come interrompere questo problema potrei fare tutto.
L'unico tool che sono riuscito a lanciare, prima che la CPU andasse in panne, è HiJackThis, il cui report sto cercando di recuperare.

Ho anche controllato il Bios, per verificare che il problema CPU non sia lì, ma a me sembra tutto ok.:muro: :muro: :muro:

Ho anche lanciato ComboFix e dopo 1h si deve ancora attivare. Dal Task Manager vedo il cmd.exe e due file sed.cfexe e pv.cfexe. Per scansionare di questo passo impiegherà un secolo. :muro:

[Chill-Out]

Ho già letto il link da te indicato, però il mio problema è operativo, la CPU è sempre al 100% di risorse è quindi l'operazione più semplice diventa lunghissima.
Sapessi come interrompere questo problema potrei fare tutto.
L'unico tool che sono riuscito a lanciare, prima che la CPU andasse in panne, è HiJackThis, il cui report sto cercando di recuperare.

Ho anche controllato il Bios, per verificare che il problema CPU non sia lì, ma a me sembra tutto ok.:muro: :muro: :muro:

Ho anche lanciato ComboFix e dopo 1h si deve ancora attivare. Dal Task Manager vedo il cmd.exe e due file sed.cfexe e pv.cfexe. Per scansionare di questo passo impiegherà un secolo. :muro:

Fallo da modalità provvisoria F8

[Griffon1]

Si blocca con schermata BLU, ho provato diverse possibilità.:muro:

[Chill-Out]

Si blocca con schermata BLU, ho provato diverse possibilità.:muro:

Sei però riuscito a fare la scansione online col Kaspersky che di solito non dura poco, se hai salvato il log allegalo.

[Griffon1]

Ecco il report. :mc:

[Chill-Out]

Ecco il report. :mc:

a dire il vero ti avevo chiesto il log del Kaspersky sempre se l'hai salvato

Fixa queste due voci

O4 - HKLM\..\Run: [40029638] rundll32.exe "C:\WINDOWS\system32\ullqipyy.dll",b
O4 - HKLM\..\Run: [BM4331a5a4] Rundll32.exe "C:\WINDOWS\system32\tlrrvtbu.dll",s

[Griffon1]

Scusami, sono un pò stanco. Eccoti il file.

[Griffon1]

Quelle due voci le avevo già viste. Purtroppo posso intervenire sono manualmente. In questo momento ho staccato l'harddisk del portatile e lo ho collegato tramite usb esterno.
Effettivamente ho spostato le dll su un'altra cartella ma il problema persiste.
C'è modo di intervenire sul registro di configurazione da un'altro computer?:mad:

[Chill-Out]

Per favore i log sempre in formato .txt, graze per la collaborazione.

[Griffon1]

Ti riferisci al report del Kaspersky?

[Chill-Out]

Ti riferisci al report del Kaspersky?

Si mi riferivo al log del Kav, tanto per capire hai attaccato l'Hd infetto ad un PC pulito via cavo USB?

[Griffon1]

SI, le uniche operazioni che ho potuto compiere prima che il portatile rallentasse le operazioni è stato il Kaspersky e l'HiJackThis.

Per inviarti questi files ho dovuto collegare l'harddisk del portatile in esterno con usb.

Inoltre ieri ho provato a lanciare il FIXVUNDO della symantec sull'harddisk esterno - esito negativo -.

[Chill-Out]

SI, le uniche operazioni che ho potuto compiere prima che il portatile rallentasse le operazioni è stato il Kaspersky e l'HiJackThis.

Per inviarti questi files ho dovuto collegare l'harddisk del portatile in esterno con usb.

Inoltre ieri ho provato a lanciare il FIXVUNDO della symantec sull'harddisk esterno - esito negativo -.

Fammi capire l'hai attaccato ad un altro Pc, si o no?

[Griffon1]

Si.
Mi spiego meglio, sono un pò stanco e forse non mi sono espresso bene.
Il problema del Trojan è sul mio portatile. Ho anche un secondo computer, un desktop.
Quando mi sono accorto dell'attacco ho lanciato i tools di cui sopra sul portatile. I log che ti ho inviato sono del Portatile.
Successivamente ho sganciato l'harddisk dal portatile, lo ho collegato al desktop è ho lanciato il FIXVUNDO. Ho fatto anche un veloce controllo con l'antivirus.
Oggi ho ricollegato l'harddisk al portatile, lo ho avviato, e ho provato a far partire il combofix. Dopo 2h30' doveva ancora finire di caricare il sistema.
La CPU era sempre al 100% e ho notato che nel taskmanager non vedo i nomi utente eccetto un solo SYSTEM.

Bene, se hai bisogno di altri chiarimenti rimandiamo a domani, se hai in mente qualche soluzione inviala pure così domani la provo.
Grazie per la disponibilità.

[Chill-Out]

Si.
Mi spiego meglio, sono un pò stanco e forse non mi sono espresso bene.
Il problema del Trojan è sul mio portatile. Ho anche un secondo computer, un desktop.
Quando mi sono accorto dell'attacco ho lanciato i tools di cui sopra sul portatile. I log che ti ho inviato sono del Portatile.
Successivamente ho sganciato l'harddisk dal portatile, lo ho collegato al desktop è ho lanciato il FIXVUNDO. Ho fatto anche un veloce controllo con l'antivirus.
Oggi ho ricollegato l'harddisk al portatile, lo ho avviato, e ho provato a far partire il combofix. Dopo 2h30' doveva ancora finire di caricare il sistema.
La CPU era sempre al 100% e ho notato che nel taskmanager non vedo i nomi utente eccetto un solo SYSTEM.

Bene, se hai bisogno di altri chiarimenti rimandiamo a domani, se hai in mente qualche soluzione inviala pure così domani la provo.
Grazie per la disponibilità.

Se avessi lasciato l'HD sul Desk non avresti avuto nessun problema ad eseguire i tool indicati nella Guida alla disinfezione (http://www.hwupgrade.it/forum/showthread.php?t=1599737) in alternativa segui questa Guida http://www.hwupgrade.it/forum/showthread.php?t=1689812 per creare ed utilizzare Antivir Rescue System ==>> opzione 2 per disinfettare il PC

NB: è opportuno crearlo sul Desk per poi farlo girare sul Note

Purtroppo il log del Kav è incompleto in quanto hai selezionato solo
Scan TargetCritical Areas
C:\WINDOWS
C:\DOCUME~1\Maurizio\IMPOST~1\Temp\

in ogni caso questi due file sono da falciare:

C:\WINDOWS\system\svchost.exe
C:\WINDOWS\system32\fccyaBQI.dll

Ciao

[Griffon1]

Ho eseguito Antivir Rescue System, ho scansionato harddisk del portatile e sostanzialmente ha trovato ciò che è elencato nei precedenti post e forse qualcos'altro.
Ho impostato il Rescue System in modo da rinominare i file che non riusciva a sistemare.
Ho provato a riavviare il portatile a fine processo e ... :confused: niente di fatto.
Continua ad essere lentissimo e mi impedisce di operare.

Qual'è la prossima mossa?

Se lasciassi HD sul desk, quale tool mi consigli di usare per la scansione?

[Chill-Out]

Ho eseguito Antivir Rescue System, ho scansionato harddisk del portatile e sostanzialmente ha trovato ciò che è elencato nei precedenti post e forse qualcos'altro.
Ho impostato il Rescue System in modo da rinominare i file che non riusciva a sistemare.
Ho provato a riavviare il portatile a fine processo e ... :confused: niente di fatto.
Continua ad essere lentissimo e mi impedisce di operare.

Qual'è la prossima mossa?

Se lasciassi HD sul desk, quale tool mi consigli di usare per la scansione?

Guida alla disinfezione leggi il post #17

[Griffon1]

Qual'è il post 17? la numerazione arriva ad 11. Forse sbaglio qualcosa nella visualizzazione.

[Chill-Out]

Qual'è il post 17? la numerazione arriva ad 11. Forse sbaglio qualcosa nella visualizzazione.

Questo è il post #17 http://www.hwupgrade.it/forum/showpost.php?p=22772544&postcount=17 :)

[Griffon1]

Non ho idea di cosa sia successo. Ho eseguito una scansione con SUPERAntiSpyware dal Desk --> HD Note, poi ho ricollegato l'HD al note e ho provato a avviare la modalità provvisoria. Niente da fare. Riprovo ma con l'ultimo avvio sicuramente funzionante da F8 e il note parte bene. Installo il COMBOFIX e avvio.
Ti invio il txt. Per adesso non tocco nulla. Se serve usare qualche utility per eliminare le ultime infezioni adesso posso lanciarle direttamente dal note.
:rolleyes:
Ciao

[wjmat]

fai girare tutti gli altri tool indicati nella guida per vundo che ti ho linkato
http://www.hwupgrade.it/forum/showthread.php?t=1603273

[Chill-Out]

I log vanno sempre allegati se hai utilizzato SUPERAntiSpyware dal Desk --> HD Note, allega il log

Segui il consiglio di wjmat, inoltre al termine produci anche un log di HijackThis ed uno di Prexv CSI ==>> leggi qu http://www.hwupgrade.it/forum/showthread.php?t=1599737 come fare Punto 9

[Griffon1]

Vi sto scrivendo dal note, sembra che tutto sia andato a posto. :D :D :D
Adesso passerò alla fase post-infezione.

Grazie di TUTTO

p.s.: l'unico mio dubbio consiste nel fatto che se il sistema dell'HD del note non si fosse riavviato non credo che si sarebbe approdato da qualche parte.:rolleyes:

[Chill-Out]

fai girare tutti gli altri tool indicati nella guida per vundo che ti ho linkato
http://www.hwupgrade.it/forum/showthread.php?t=1603273

I log vanno sempre allegati se hai utilizzato SUPERAntiSpyware dal Desk --> HD Note, allega il log

Segui il consiglio di wjmat, inoltre al termine produci anche un log di HijackThis ed uno di Prexv CSI ==>> leggi qu http://www.hwupgrade.it/forum/showthread.php?t=1599737 come fare Punto 9

Vi sto scrivendo dal note, sembra che tutto sia andato a posto. :D :D :D
Adesso passerò alla fase post-infezione.

Grazie di TUTTO

p.s.: l'unico mio dubbio consiste nel fatto che se il sistema dell'HD del note non si fosse riavviato non credo che si sarebbe approdato da qualche parte.:rolleyes:

Dal log di Combo risultano ancora problemi, ma se hai deciso di passare direttamente alla fase post disinfezione, fà un pò tu :)

[Griffon1]

Non c'è alcun problema ti allego i report.
3 di 5

[Griffon1]

Non c'è alcun problema ti allego i report.
5 di 5

[wjmat]

Lancia HiJackThis ► clicca Do a scan only ► metti la spunta a fianco delle righe che ti segnalo qui sotto ► clicca su Fix Checked ► Riavvia e nuovo log
(eccezione per quelle che tu conosci e ritieni necessarie)
O2 - BHO: (no name) - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - (no file)
O2 - BHO: (no name) - {0C1834A6-AFED-4665-8B0E-B09D3715A525} - C:\WINDOWS\system32\ssqNdCVP.dll (file missing)
O2 - BHO: {9a1df72c-6e7e-199b-06e4-7fd515601c1a} - {a1c10651-5df7-4e60-b991-e7e6c27fd1a9} - C:\WINDOWS\system32\inndlxrw.dll (file missing)
O3 - Toolbar: (no name) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [BisonCom] C:\WINDOWS\VdCap03C\BisonCom
O4 - HKLM\..\Run: [CertStoreInit] C:\WINDOWS\system32\CertStoreInit
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Italiano clic] C:\PROGRA~1\Garzanti Linguistica\Italiano Clic\vb\ItaTray.exe /w
O4 - HKLM\..\Run: [PC98Monitor] "C:\PROGRA~1\TIMTUR~1.33I\N100EM~1.EXE"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [WFXSwtch] C:\PROGRA~1\WinFax\WFXSWTCH.exe
O4 - HKLM\..\Run: [pccguide.exe] "C:\Programmi\Trend Micro\PC-cillin 2002\pccguide.exe"
O4 - HKLM\..\Run: [PCCClient.exe] "C:\Programmi\Trend Micro\PC-cillin 2002\PCCClient.exe"
O4 - HKLM\..\Run: [Pop3trap.exe] "C:\Programmi\Trend Micro\PC-cillin 2002\Pop3trap.exe"
O4 - HKLM\..\Run: [AliceRE_McciTrayApp] C:\Programmi\Alice ti aiuta\vendors\AliceRE\content\template\driven_dev\syncer\McciTrayApp.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [40029638] rundll32.exe "C:\WINDOWS\system32\ullqipyy.dll",b
O4 - HKLM\..\Run: [BM4331a5a4] Rundll32.exe "C:\WINDOWS\system32\tlrrvtbu.dll",s
O4 - HKCU\..\Run: [Red Swoosh] C:\Programmi\RSSoft\RedSwoosh.exe /S
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Programmi\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - S-1-5-18 Startup: OpenOffice.org 2.4.lnk = C:\Programmi\OpenOffice.org 2.4\program\quickstart.exe (User 'SYSTEM')
O4 - Global Startup: ASUS ChkMail.lnk = C:\Programmi\ASUS\Asus ChkMail\ChkMail.exe
O4 - Global Startup: Avvio veloce di Adobe Acrobat.lnk = ?


Dai un'occhiata al trattamento di prevenzione / post disinfezione (http://www.hwupgrade.it/forum/showthread.php?t=1726383), ti aiuta a verificare la configurazione di sicurezza del tuo pc ed eliminare eventuali residui inutili dei programmi utilizzati nelle guide.

di cui molto importanti:
rimozione pc cillin in favore di antivir
aggiornamento di IE alla versione 7

[Griffon1]

Ok, ecco il nuovo log.

[Chill-Out]

Mancano il Punto 6 e 7 + la scansione con Prevx Csi come indicato qui http://www.hwupgrade.it/forum/showpost.php?p=22790360&postcount=24 :rolleyes:

[Griffon1]

Ti allego il txt di SuperAntiSpyware. Per quanto riguarda il Prevxcsi non riesce a collegarsi ad internet per scaricare le definizioni.

[wjmat]

Ti allego il txt di SuperAntiSpyware. Per quanto riguarda il Prevxcsi non riesce a collegarsi ad internet per scaricare le definizioni.
è meglio che fai "Perform complete scanning" selezionando tutte le partizioni
nelle preferences → scanning control deseleziona le prime 4 voci e spunta ads per una scansione corretta

[Griffon1]

Fatto, il SuperAntiSpyware non ha trovato nulla.

[xcdegasp]

Fatto, il SuperAntiSpyware non ha trovato nulla.

eset sysinspectator e hijackthis?